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1 SAMENVATTING EN ALGEMENE BEVINDINGEN 


DEEL I SAMENVATTING EN ACHTERGROND 
1 Samenvatting en algemene bevindingen 


1.1 Een landelijk implantatenregister 

De afgelopen jaren heeft een aantal incidenten plaatsgevonden, waaronder met PIP- 
borstimplantaten. Mede deze incidenten hebben duidelijk gemaakt dat bij de registratie van 
implantaten aanvullende maatregelen nodig zijn om de patiëntveiligheid te waarborgen. 

In de praktijk is het lastig gebleken om patiënten met mogelijk schadelijke implantaten te 
traceren. Het is om die reden dat, om een goede patiëntveiligheid te waarborgen, een landelijk 
implantatenregister wordt ingericht. De Minister van Volksgezondheid, Welzijn en Sport draagt 
zorg voor de inrichting van het landelijk implantatenregister. 

Het in te richten implantatenregister ondersteund de Inspectie voor de Gezondheidszorg (IGZ) 
bij de uitvoering van de werkzaamheden. De IGZ is op grond van de Wet op de medische 
hulpmiddelen in Nederland belast met het toezicht op medische hulpmiddelen en op 
patiëntveiligheid. 

1.2 De onderwerpen van de PIA 

Een PIA toetst, kort gezegd, óf de voorziene gegevensverwerking inderdaad doorgang dient te 
vinden, welke gegevensverwerkingen dan noodzakelijk zijn en vervolgens hoe deze 
gegevensverwerkingen plaats mogen vinden. 

De feitelijk bestaande situatie zoals deze in het rapport Registratie van implantaten in 
Nederland, Inventarisatie en pilot van 27 november 2014 (rapportnr. 2014-0089) van het RIVM 
beschreven wordt, heeft ertoe geleid dat de ontwikkeling van een landelijk 
implantatenregister twee fasen zal kennen. De twee verschillende fasen van de ontwikkeling 
van een landelijk implantatenregister komen in deel II van de PIA aan de orde in de onderdelen 
5 en 6. De fasen zijn: 

1) Een eerste fase is de inrichting van het implantatenregister in 2015 op basis van 
bestaande mogelijkheden. In de eerste fase worden gegevens opgenomen die 
geleverd worden door enkele wetenschappelijke verenigingen. De gegevens zijn 
daarbij afkomstig uit de landelijke registraties van die verenigingen. De opzet, 
inhoud, werkzaamheden en verantwoordelijkheden van betrokken partijen en het 
gebruik van het landelijk implantatenregister hebben allemaal een plaats gekregen 
in de afspraken die tussen de Minister van VWS en landelijke wetenschappelijke 
verenigingen gemaakt zullen worden. In deze PIA worden de opzet, inhoud, 
werkzaamheden en verantwoordelijkheden van betrokken partijen en de 
afspraken met de wetenschappelijke verenigingen beoordeeld in het licht van de 
privacy risico's en het medisch beroepsgeheim. 
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2) Een tweede fase is het creëren van wetgeving voor het implantatenregister door 
aanvulling van de Wet kwaliteit, klachten en geschillen zorg. Voorzien is dat daarbij 
onder andere wettelijke registratieplichten voor de zorgaanbieders en een plicht 
tot verstrekken van gegevens ten behoeve van opname in het implantatenregister 
ontstaan. Tevens is voorzien om de informatieverstrekking aan patiënten wettelijk 
te regelen. Ook zal daarbij een wettelijke regeling voor (fase 2) van het 
implantatenregister getroffen worden. In deze PIA komen de elementen voor de 
nieuwe wetgeving aan de orde. Ook hierbij staan de privacy risico's en het medisch 
beroepsgeheim centraal. 

Bij de voorziene inrichting van het implantatenregister en bij het traceren van patiënten, 
kunnen enkele specifieke issues genoemd worden die (op termijn) nadere aandacht vragen. Bij 
deze issues gaat het om de gevolgen voor de traceerbaarheid van patiënten als bijvoorbeeld 
zorginstellingen ophouden te bestaan of als patiënten bijvoorbeeld naar het buitenland 
verhuizen. Deze specifieke issues bij de traceerbaarheid van patiënten komen in onderdeel 7 
aan de orde. 

1.3 De Privacy-risico's en het medisch beroepsgeheim bij het landelijk 
implantatenregister 

Dé risico's bij het landelijke implantatenregister zijn in de kern een onnodige (lees: niet 
noodzakelijke) en vermijdbare aantasting van de persoonlijke levenssfeer en een onnodige 
(lees eveneens: niet noodzakelijke) en vermijdbare aantasting van het medisch 
beroepsgeheim. 

Uit zowel de bescherming van de persoonlijke levenssfeer als de bescherming van het medisch 
beroepsgeheim vloeit in algemene zin voort, dat er geen onnodige (lees: niet-noodzakelijke) en 
vermijdbare verwerking van gegevens plaatsvindt. Dit is evenzeer van belang als de in het 
implantatenregister opgenomen gegevens geen persoonsgegevens zoals bedoeld in de Wet 
bescherming persoonsgegevens zouden zijn. Want ook dan spelen de bescherming van de 
persoonlijke levenssfeer en het medisch beroepsgeheim een rol bij het implantatenregister en 
het traceren van patiënten indien dit voor patiëntveiligheid en een goede zorg voor patiënten 
nodig is. 

Gebaseerd op de bescherming van de persoonlijke levenssfeer, kunnen voor het 
implantatenregister de volgende uitgangspunten geformuleerd worden: 

- de verwerking van gegevens dient zoveel mogelijk beperkt te worden. Dit betekent 
vastlegging van een minimale gegevensset in plaats van bijvoorbeeld een maximale of 
uitgebreide gegevensset; 

- de werking van het implantatenregister en het traceren van patiënten dient zoveel 
mogelijk vorm gegeven te worden op een wijze dat enkel de zorginstellingen en 
zorgverleners bekend zijn (of kunnen zijn) met de identiteit van de patiënten; 

- aanvullende wettelijke regels zijn nodig als de voorziene verwerkingen van gegevens 
niet plaats kunnen vinden binnen de bestaande wettelijke regelingen over het 
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verwerken van persoonsgegevens. Dit zou bijvoorbeeld het geval zijn indien de in het 
landelijke implantatenregister opgenomen gegevens voor wat de minister van VWS, de 
bij het beheer van het register betrokken partijen en de IGZ betreft aangemerkt 
zouden moeten worden als persoonsgegevens als bedoeld in de Wet bescherming 
persoonsgegevens. 

Gebaseerd op de bescherming van het medisch beroepsgeheim, kunnen voor het 

implantatenregister de volgende uitgangspunten geformuleerd worden: 

- de verwerking van gegevens dient zoveel mogelijk beperkt te worden. Dit betekent 
vastlegging van een minimale gegevensset in plaats van bijvoorbeeld een maximale of 
uitgebreide gegevensset; 

- het herleiden van gegevens tot individuele patiënten dient bij de aanleg, werking en 
het gebruik van gegevens uit het implantatenregister, voorbehouden te zijn aan de 
zorginstellingen en beroepsbeoefenaren die in bepaalde gevallen patiënten dienen te 
informeren en zo nodig te behandelen in verband met ongewenste gebeurtenissen of 
(mogelijke) problemen in verband met implantaten; 

- aanvullende wettelijke regels zijn nodig als de voorziene verwerkingen van gegevens 
niet plaats kunnen vinden binnen de bestaande wettelijke regeling van het medisch 
beroepsgeheim. Dit zou bijvoorbeeld het geval zijn indien het voor de minister van 
VWS, de bij het beheer van het register betrokken partijen en de IGZ (toch) mogelijk 
zou zijn om, zonder medewerking van de wetenschappelijke verenigingen, 
zorginstellingen of behandelaars, de identiteit van patiënten te achterhalen. 

1.4 De algemene bevindingen van de PIA 


In deze PIA wordt de conclusie getrokken dat het implantatenregister vanuit het oogpunt 
van de minister van VWS, de bij het beheer betrokken partijen en de IGZ als ontvanger van 
gegevens, geen persoonsgegevens bevat als bedoeld in de Wet bescherming 
persoonsgegevens. Deze conclusie heeft tot gevolg dat (aanvullende) wetgeving niet vereist 
is om de eerste fase van de inrichting en werking van het implantatenregister uit te voeren. 

Hierbij past wel de kanttekening, of zo men wil relativering, dat, mede door het belang van 
de bescherming persoonlijke levenssfeer en de bescherming medisch beroepsgeheim, de 
gegevens in de praktijk behandeld (zouden) dienen te worden alsof het (toch) 
persoonsgegevens zijn. Een behoorlijke en zorgvuldige verwerking van de gegevens met 
adequate informatiebeveiliging en een duidelijk regeling over de doelen waarvoor de 
gegevens verwerkt worden, de vast te leggen gegevens, de ontvangers en het gebruik van de 
gegevens en hoe het implantatenregister beheerd wordt, is ook ik de eerste fase van het 
implantatenregister essentieel. 

Het programma implantatenregister heeft, vanuit privacy oogpunt bezien, bepaald veel werk 
verricht in het kader van een zorgvuldige opzet en werking van het implantatenregister. 
Daarbij zijn de opzet, inhoud, werkzaamheden en verantwoordelijkheden van betrokken 
partijen beoordeeld. Daarnaast zijn afspraken gemaakt met de wetenschappelijke verenigen. 
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Deze afspraken zijn getoetst aan de verschillende onderwerpen die in onderdeel 5 
beschreven zijn. Ook de afspraken kunnen in het kader van deze PIA als toereikende en 
adequate afspraken aangemerkt worden. De verwerking van gegevens in het 
implantatenregister (verzamelen, vastleggen en verstrekken) kan daarmee plaats vinden 
binnen de huidige wettelijke regelingen. 

Voor wat de voorziene wetgeving voor de tweede fase betreft, worden voorstellen gedaan. 
Aansluiting bij deze voorstellen zal tot resultaat hebben dat de komende wetgeving in het 
kader van deze PIA (enigszins voorlopig en op voorhand) als toereikend en adequaat 
aangemerkt kan worden. 

Een specifiek onderwerp is de traceerbaarheid van patiënten en de inhoud van de 
gegevenssets in het implantatenregister in verband met bijvoorbeeld het ophouden van het 
bestaan van een zorgaanbieder of bij bijvoorbeeld verhuizing van een patiënt naar het 
buitenland. Deze eventuele problemen zijn reeds onderkend. 

De huidige inrichting in 2015 en de latere overgang naar een implantatenregister met een 
wettelijke regeling, zijn erop gebaseerd dat de zorgaanbieders zelfde betrokken patiënten 
traceren en benaderen. De voorziene dataset die in het implantatenregister wordt 
vastgelegd is daarbij zodanig dat het met die dataset niet mogelijk is om de individuele 
patiënt te identificeren. Een dergelijke opzet kan bij de latere traceerbaarheid van 
individuele patiënten (mogelijk) aanleiding geven tot problemen bij het daadwerkelijk 
bereiken van alle patiënten. 

Deze eventuele problemen kunnen in de eerste fase naar verwachting opgelost worden met 
medewerking van de wetenschappelijke verenigingen. Daartoe wordt een aanbeveling 
gedaan in onderdeel 7.2. 

Voor wat de tweede fase betreft, wordt aanbevolen (zie onderdeel 7.3) nader onderzoek te 
doen of het noodzakelijk is aanvullende gegevens vast te leggen. Dit zou ertoe kunnen leiden 
dat (alsnog) extra gegevens over patiënten, in al dan niet versleutelde vorm, in de tweede 
fase vastgelegd worden in het implantatenregister. In dat geval is daarvoor een specifieke 
wettelijke bepaling vereist. 
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2 Privacy Impact Assessments 


2.1 Een omschrijving van de PIA 

Een PIA kan worden omschreven als een hulpmiddel bij het inschatten van privacy risico's bij 
wetgeving en bij ICT- projecten. Een PIA dient om tijdig inzicht te krijgen wat de gevolgen en 
risico's van wetgeving, een project of activiteit kunnen zijn, vooral voor wat betreft inbreuken 
op de persoonlijke levenssfeer. Daarbij worden ook aanbevelingen meegenomen voor het 
treffen van maatregelen om de geconstateerde risico's af te wenden. Met de aanbevelingen 
en maatregelen richt de PIA zich ook op privacy-beleid. Uiteindelijk moet de PIA inzicht geven 
in hoeverre en onder welke voorwaarden het project, eventueel met aanvullende 
maatregelen, doorgang kan vinden. Een PIA draagt daarmee bij aan het vermijden of 
verminderen van privacy risico's. Een impact assessment (effectbeoordeling) wordt door de 
International Association for Impact Assessment (IAIA) wat formeel omschreven als "de 
identificatie van toekomstige gevolgen van een huidige of voorgestelde actie". 

Naast de mogelijkheid om een PIA te voeren, zijn er diverse andere privacy hulpmiddelen 
beschikbaar om de privacyaspecten van gegevensverwerkingen te beoordelen. Veel van deze 
middelen zijn direct op de toetsing van de naleving van de wettelijke eisen gericht. 

Een PIA verschilt van deze hulpmiddelen omdat het zich niet beperkt tot de vraag of de 
activiteiten en verwerkingen bij wet zijn toegestaan, maar ook hoe het vraagstuk bijvoorbeeld 
maatschappelijk wordt ervaren. Het beperkt zich daarbij niet alleen tot dataprotectie wet en 
regelgeving, maar richt zich ook breder op percepties van privacy, en de uitgangspunten van 
dataprotectie. Een PIA kan zich ook richten ook op de vraag of de organisatie in staat is om 
eventuele tekortkomingen te signaleren, en er bereidheid is om de maatregelen te treffen die 
het risico kunnen afwenden ('in control'). 

Een PIA toetst, kort gezegd, óf de voorziene gegevensverwerking inderdaad doorgang dient te 
vinden, welke gegevensverwerkingen dan noodzakelijk zijn en vervolgens hoe deze 
gegevensverwerkingen plaats mogen vinden. 

Een PIA kan op verschillende momenten uitgevoerd worden. Bijvoorbeeld voorafgaande aan 
het treffen van regelgeving, voorafgaande aan de ontwikkeling van ICT-projecten of op het 
moment dat regelgeving of ICT-projecten een nieuwe fase in gaan. In bepaalde gevallen kan 
een PIA de nadruk hebben op privacy by design, in andere gevallen kan er meer nadruk zijn op 
compliance-achtige aspecten. Het onderscheid tussen een vroegtijdige risico-achtige PIA en 
compliance is echter vaak lastig aan te brengen. De verwevenheid van een risicobeoordeling, 
privacy by design en compliance-achtige aspecten kwam ook naar voor in het advies van het 
College bescherming persoonsgegevens van 5 maart 2013 over het Toetsmodel PIA Rijksdienst 
(Z2012-00847). 

De benodigde flexibiliteit bij de uitvoering van een PIA houdt in dat een PIA iedere keer 
maatwerk is. In deze PIA staan twee fasen in de ontwikkeling van het landelijk 
implantatenregister centraal. 


5 


MET LEGAL 

CONSULTANTS 


2 PRIVACY IMPACT ASSESSMENTS 


2.2 Het ontstaan en de ontwikkeling van de PIA 

De PIA als instrument is oorspronkelijk tot ontwikkeling gekomen in landen met een 
Angelsaksisch georiënteerd rechtssysteem. Zo verschenen er rond 2005 modellen en 
beschrijvingen voor een PIA van de hand van de Canadese, de Britse en de Australische 
privacy-toezichthouders. Ook de federale overheid van de Verenigde Staten kwam in die 
periode met een model en procedure voor het uitvoeren van een PIA. De PIA was daarbij 
verbonden met het eerder door o.a. de Nederlandse privacy toezichthouder ontwikkelde 
uitgangspunt van "Privacy Enhancing Technologies" en met het in bijvoorbeeld artikel 13 van 
de Wet bescherming persoonsgegevens wat impliciet opgenomen uitgangspunt van "Privacy 
by design". 

Belangrijke ontwikkelingen in Nederland bij de ontwikkeling van een PIA zijn de motie Franken 
van 17 mei 2011 over het uitvoeren van een PIA in het kader van wetgeving (EK, 31 051, nr. D) 
en bijvoorbeeld de motie Elissen en Gesthuizen van 13 oktober 2011 over privacy by design en 
safety by design bij de ontwikkeling van nieuwe ICT-projecten (TK, 26 643, nr. 203). De 
ontwikkeling en de uitvoering van een PIA kwam ook aan de orde in de Notitie Privacybeleid 
van het kabinet van 29 april 2011. Ook in het Regeerakkoord komt het uitvoeren van een PIA 
aan de orde. 

In november 2011 was er in het kader van de l-strategie Rijk het besluit van het kabinet om de 
bestaande maatregelen ten aanzien van de beheersing van grote ICT-projecten van het Rijk uit 
te breiden met maatregelen ter bescherming van privacy. De reeds bestaande eisen ten 
aanzien van de inhoud van projectplannen voor grote ICT-projecten zijn daartoe aangevuld 
met de eis om in het projectplan informatie op te nemen of er bij het project sprake is van het 
opnemen van privacygevoelige gegevens en koppelingen of verrijking daarvan en om, zo nodig, 
een PIA uit te voeren. 

Inmiddels is voor een PIA voor de Rijksdienst het Toetsmodel Privacy Impact Assessment (PIA) 
Rijksdienst van 24 juni 2013 (Bijlage bij TK, 26 643, nr. 282) verschenen. Het Toetsmodel dient 
vanaf 1 september 2013 standaard te worden toegepast bij ontwikkeling van nieuwe 
wetgeving en beleid waarmee de bouw van nieuwe ICT-systemen of de aanleg van grote 
databestanden wordt voorzien. 
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3 Het onderwerp (object) van de PIA Landelijk Implantatenregister en 
risico's 

3.1 Een landelijk implantatenregister 

De afgelopen jaren heeft een aantal incidenten plaatsgevonden, waaronder met PIP- 
borstimplantaten. Mede deze incidenten hebben duidelijk gemaakt dat bij de registratie van 
implantaten aanvullende maatregelen nodig zijn om de patiëntveiligheid te waarborgen; 

In de praktijk is het lastig gebleken om patiënten met mogelijk schadelijke implantaten te 
traceren. Het is om die reden dat, om een goede patiëntveiligheid te waarborgen, een landelijk 
implantatenregister wordt ingericht. De Minister van Volksgezondheid, Welzijn en Sport draagt 
zorg voor de inrichting van het landelijk implantatenregister. 

Het in te richten implantatenregister ondersteund de Inspectie voor de Gezondheidszorg (IGZ) 
bij de uitvoering van de werkzaamheden. De IGZ is op grond van de Wet op de medische 
hulpmiddelen in Nederland belast met het toezicht op medische hulpmiddelen. Een implantaat 
is een medisch hulpmiddel. 

De IGZ heeft met het landelijke implantatenregister een instrument waardoor zij bij een 
signaal over een veiligheidsrisico bij een bepaald implantaat a) de impact op de Nederlandse 
markt kan overzien en b) betrokken patiënten door zorginstellingen kan laten traceren. Dit 
traceren kan mogelijk worden gemaakt door de daarvoor noodzakelijke gegevens uit het 
landelijk implantatenregister aan de desbetreffende zorginstellingen te verstrekken. De 
zorginstellingen kunnen vervolgens, mede met behulp van de eigen gegevens, de 
desbetreffende patiënten identificeren, traceren, informeren en zo nodig behandelen. 

In het rapport Registratie van implantaten in Nederland, Inventarisatie en pilot van 27 
november 2014 (rapportnr. 2014-0089) laat het RIVM, na uitgebreid onderzoek, zien dat: 

- de meeste interne registraties van ziekenhuizen en particuliere klinieken nog niet 
rechtstreeks bruikbaar zijn voor een landelijk implantatenregister. De informatie over 
patiënt en implantaat is meestal wel beschikbaar, maar het kost veel tijd om de 
gegevens op te zoeken. Dit komt omdat deze gegevens meestal niet centraal worden 
vastgelegd in een digitaal systeem. Bovendien worden ze op zeer uiteenlopende 
manieren geregistreerd. Ook zijn de huidige systemen nog niet waterdicht, waardoor 
patiënten kunnen worden 'gemist'; 

- sommige landelijke registers van wetenschappelijke verenigingen wel geschikt zijn 
voor een landelijk implantatenregister: alle benodigde gegevens worden daarin 
opgenomen en patiënten kunnen met deze gegevens snel worden opgespoord. Deze 
registers bestaan in ieder geval voor een aantal implantaten, zoals orthopedische en 
cardiologische implantaten. Begin 2015 start ook een landelijke registratie voor 
borstimplantaten; 
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- niet voor alle implantaten die in Nederland worden gebruikt, registers van 
wetenschappelijke verenigingen beschikbaar zijn. 

De feitelijk bestaande situatie zoals deze in het rapport van het RIVM beschreven wordt, heeft 
ertoe geleid dat de ontwikkeling van een landelijk implantatenregister twee fasen zal kennen. 

1) Een eerste fase is de inrichting van het implantatenregister in 2015 op basis van 
bestaande mogelijkheden. 

2) Een tweede fase is het creëren van wetgeving voor het implantatenregister door 
aanvulling van de Wet kwaliteit, klachten en geschillen zorg. Voorzien is dat daarbij 
onder andere wettelijke registratieplichten voor de zorgaanbieders en een plicht tot 
verstrekken van gegevens ten behoeve van opname in het implantatenregister 
ontstaan. Tevens is voorzien om de informatieverstrekking aan patiënten wettelijk te 
regelen. 

Bij de uitvoering van deze PIA worden de huidige feitelijke situatie en de ontwikkeling van een 
landelijk implantatenregister in twee fasen als uitgangspunten genomen. Voor een beschrijving 
van de bestaande situatie en voor diverse uitgangspunten voor een implantatenregister wordt 
in deze PIA aangesloten bij en verwezen naar het rapport Registratie van implantaten in 
Nederland, Inventarisatie en pilot van het RIVM. 

De twee verschillende fasen van de ontwikkeling van een landelijk implantatenregister komen 
in deel II van de PIA aan de orde in de onderdelen 5 (fase 1) en 6 (fase 2). 

Bij de voorziene inrichting van het implantatenregister en bij het traceren van patiënten, 
kunnen enkele specifieke issues genoemd worden die (op termijn) nadere aandacht vragen. Bij 
deze issues gaat het om de gevolgen voor de traceerbaarheid van patiënten als bijvoorbeeld 
zorginstellingen ophouden te bestaan of als patiënten bijvoorbeeld naar het buitenland 
verhuizen. Deze specifieke issues bij de traceerbaarheid van patiënten komen in onderdeel 7 
aan de orde. 

Op termijn is het voorstelbaar dat de registratie van gegevens over implantaten ook voor de 
betrokken patiënten toegankelijk zal (kunnen) worden. Dit in aansluiting op de huidige 
ontwikkelingen ten aanzien van toegang tot de eigen medische dossiers van patiënten, zoals 
bijvoorbeeld aangegeven is in het advies Patiënteninformatie van de Raad voor de 
Volksgezondheid & Zorg aan de minister van VWS van juli 2014. Naar aangenomen kan worden 
zal de toegang van patiënten tot over patiënten vastgelegde gegevens over implantaten 
daarbij (in eerste instantie) vorm krijgen door toegang tot gegevens opgenomen in het dossier 
van de behandelaar c.q. toegang die geregeld wordt met een voorziening van de 
zorgaanbieder of zorginstelling. Gelet hierop, wordt in deze PIA verder geen aandacht besteed 
aan de mogelijk toekomstige toegang voor patiënten tot de over hen in het landelijke 
implantatenregister vastgelegde gegevens. Een dergelijke toegang tot de gegevens in het 
landelijke implantatenregister zelf zal, zoals aangegeven, in de praktijk immers niet aan de 
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orde komen bij toegang tot gegevens opgenomen in het dossier van de behandelaar c.q. 
toegang die geregeld wordt met een voorziening van de zorgaanbieder of zorginstelling. 

3.2 De PIA ter uitvoering van het regeringsbeleid betreffende een PIA voor de 
Rijksdienst 

Deze PIA geeft uitvoering aan het regeringsbeleid dat vanaf 1 september 2013 standaard een 
PIA dient te worden uitgevoerd bij ontwikkeling van nieuwe wetgeving en beleid waarmee de 
bouw van nieuwe ICT-systemen of de aanleg van grote databestanden wordt voorzien (zie: TK, 
26 643, nr. 282). De PIA omvat daartoe de onderdelen en onderwerpen zoals opgenomen zijn 
in het Toetsmodel Privacy Impact Assessment (PIA) Rijksdienst van 24 juni 2013 (Bijlage bij TK, 
26 643, nr. 282). 

Voor wat het nieuw in te richten landelijk implantatenregister betreft, geeft de PIA uitvoering 
aan de Motie Elissen en Gesthuizen van 13 oktober 2011 over privacy by design en safety by 
design bij de ontwikkeling van nieuwe ICT-projecten (TK, 26 643, nr. 203). 

De PIA geeft tevens uitvoering aan de Motie Franken van 17 mei 2011 over het uitvoeren van 
een PIA in het kader van wetgeving (EK, 31 051, nr. D). 

3.3 Risico's 

Dé risico's bij het landelijke implantatenregister zijn in de kern een onnodige (lees: niet 
noodzakelijke) en vermijdbare aantasting van de persoonlijke levenssfeer en een onnodige 
(lees eveneens: niet noodzakelijke) en vermijdbare aantasting van het medisch 
beroepsgeheim. 

Uit zowel de bescherming van de persoonlijke levenssfeer als de bescherming van het medisch 
beroepsgeheim vloeit in algemene zin voort, dat er geen onnodige (lees: niet-noodzakelijke) en 
vermijdbare verwerking van gegevens plaatsvindt. Dit is evenzeer van belang als de in het 
implantatenregister opgenomen gegevens geen persoonsgegevens zoals bedoeld in de Wet 
bescherming persoonsgegevens zouden zijn. Want ook dan spelen de bescherming van de 
persoonlijke levenssfeer en het medisch beroepsgeheim een rol bij het implantatenregister en 
het traceren van patiënten indien dit voor patiëntveiligheid en een goede zorg voor patiënten 
nodig is. 

3.3.1 De bescherming van de persoonlijke levenssfeer 

Bij het landelijk implantatenregister is uiteraard van belang of en in welke mate de werking en 
het gebruik van het register inbreuk maakt op de persoonlijke levenssfeer van personen en 
daarbij grondrechten raken, zoals in het bijzonder het grondrecht op bescherming van de 
persoonlijke levenssfeer in artikel 8 van het Europees Verdrag voor de Rechten van de Mens 
(EVRM) en artikel 10 van de Grondwet. 

Het is daarbij tevens van belang dat de inbreuken een voldoende rechtvaardiging hebben. Dit 
betekent dat er sprake dient te zijn van specifieke belangen zoals de nationale veiligheid, de 
openbare veiligheid of het economisch welzijn van het land, het voorkomen van 
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wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden 
of voor de bescherming van de rechten en vrijheden van anderen. 

Verder is noodzakelijk dat regelgeving voldoende specifiek is, zodat ook voor betrokkenen 
voldoende duidelijk is tot welke gegevensverwerkingen en inbreuken op de persoonlijke 
levenssfeer het implantatenregister geeft. 

Het is duidelijk dat informatie of een bepaalde persoon een implantaat heeft of gehad heeft de 
gezondheid en daarmee de persoonlijke levenssfeer raakt. Zeker als dit bekend zou worden bij 
anderen dan de patiënt, diens directe omgeving en de behandelaars. Ook in geval een patiënt 
getraceerd dient te worden in verband met (mogelijke) problemen met een implantaat speelt 
dit een rol. Zeker als een (nieuwe) behandeling nodig zou zijn. Wat deze gevolgen voor de 
persoonlijke levenssfeer betreft, is nog niet eens zozeer van belang of de gegevens in het 
implantatenregister zelf als persoonsgegevens aangemerkt dienen te worden. 

In het geval dat de gegevens die opgenomen zijn in het implantatenregister als 
persoonsgegevens aangemerkt dienen te worden, zal dit een extra aantasting van de 
persoonlijke levenssfeer met zich meebrengen omdat de medische informatie daarbij 
beschikbaar komt voor een bredere kring van personen of organisaties. 

De rechtvaardiging van de aantasting van de persoonlijke levenssfeer is gelegen in de 
bescherming van de gezondheid van de patiënten: de patiëntveiligheid en de eventuele 
aanvullende behandeling die noodzakelijk is. 

Indien de verwerking van gegevens in het implantatenregister (verzamelen, vastleggen en 
verstrekken) plaats kan vinden binnen de huidige wettelijke regelingen is er vanuit het 
grondrecht op bescherming van de persoonlijke levenssfeer bezien geen noodzaak om 
aanvullende wettelijke regels te stellen. In andere gevallen zijn aanvullende wettelijke regels 
nodig. 

Gebaseerd op de bescherming van de persoonlijke levenssfeer, kunnen voor het 
implantatenregister de volgende uitgangspunten geformuleerd worden: 

- de verwerking van gegevens dient zoveel mogelijk beperkt te worden. Dit betekent 
vastlegging van een minimale gegevensset in plaats van bijvoorbeeld een maximale of 
uitgebreide gegevensset; 

- de werking van het implantatenregister en het traceren van patiënten dient zoveel 
mogelijk vorm gegeven te worden op een wijze dat enkel de zorginstellingen en 
zorgverleners bekend zijn (of kunnen zijn) met de identiteit van de patiënten; 

- aanvullende wettelijke regels zijn nodig als de voorziene verwerkingen van gegevens 
niet plaats kunnen vinden binnen de bestaande wettelijke regelingen over het 
verwerken van persoonsgegevens. Dit zou bijvoorbeeld het geval zijn indien de in het 
implantatenregister opgenomen gegevens voor wat de minister van VWS, de bij het 
beheer van het register betrokken partijen en de IGZ betreft aangemerkt zouden 
moeten worden als persoonsgegevens als bedoeld in de Wet bescherming 
persoonsgegevens. 
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3.3.2 De bescherming van het medisch beroepsgeheim 

Het medisch beroepsgeheim beschermt van oudsher een vrije toegang tot medische zorg. In 
die zin ziet het medisch beroepsgeheim op alle informatie waarover behandelaars 
(beroepsbeoefenaars) beschikken. Anders gezegd: of er wel of geen sprake is van 
persoonsgegevens als bedoeld in de Wbp is niet bepalend voor de vraag of het medisch 
beroepsgeheim van toepassing is. 

Daarnaast beschermt het beroepsgeheim tevens de persoonlijke levenssfeer, de privacy, van 
patiënten. 

Het medisch beroepsgeheim, wettelijk neergelegd in de Wet BIG en de WGBO, dient (ook) bij 
het implantatenregister verzekerd te blijven. 

Gebaseerd op de bescherming van het medisch beroepsgeheim, kunnen voor het 
implantatenregister de volgende uitgangspunten geformuleerd worden: 

- de verwerking van gegevens dient zoveel mogelijk beperkt te worden. Dit betekent 
vastlegging van een minimale gegevensset in plaats van bijvoorbeeld een maximale of 
uitgebreide gegevensset; 

- het herleiden van gegevens tot individuele patiënten dient bij de aanleg, werking en 
het gebruik van gegevens uit het implantatenregister, voorbehouden te zijn aan de 
zorginstellingen en beroepsbeoefenaren die in bepaalde gevallen patiënten dienen te 
informeren en zo nodig te behandelen in verband met ongewenste gebeurtenissen of 
(mogelijke) problemen in verband met implantaten; 

- aanvullende wettelijke regels zijn nodig als de voorziene verwerkingen van gegevens 
niet plaats kunnen vinden binnen de bestaande wettelijke regeling van het medisch 
beroepsgeheim. Dit zou bijvoorbeeld het geval zijn indien het voor de minister van 
VWS, de bij het beheer van het register betrokken partijen en de IGZ (toch) mogelijk 
zou zijn om, zonder medewerking van de wetenschappelijke vereniging, 
zorginstellingen of behandelaars, de identiteit van patiënten te achterhalen. 
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4 Een algemene beschrijving van de werking van een landelijk 
implantatenregister en het proces van gebruik van een dergelijk register 
voor patiëntveiligheid en het traceren van patiënten 

4.1 Het doel van het implantatenregister en de zorgplichten van betrokken partijen 

Het doel van het implantatenregister is de patiëntveiligheid. Patiënten moeten getraceerd, 
geïnformeerd en, indien nodig, behandeld kunnen worden. Over dit hoofddoel bestaat 
overeenstemming bij de betrokken partijen. Het is ook een doel dat direct verbonden is met 
een goede zorg voor en goede behandeling van patiënten. 

Een discussie over de privacy-aspecten bij een implantatenregister (en het belang daarbij van 
patiëntveiligheid en de daarvoor benodigde registratie van gegevens) gaat daarbij wellicht ook 
meer over de zorgplichten van de diverse betrokken partijen en de consequenties daarvan 
t.a.v. het door de diverse betrokken partijen vastleggen van informatie en persoonsgegevens, 
dan dat het een "enkele" privacy-discussie is of zou moeten zijn. 

Zoals al is aangegeven, is het doel van het implantatenregister direct verbonden met de 
zorgplichten van zorginstellingen en beroepsbeoefenaren. De registraties van de 
wetenschappelijke verenigingen, die gericht zijn op kwaliteit en kwaliteitsbewaking, 
ondersteunen de zorgplichten van zorginstellingen en beroepsbeoefenaren. 

De IGZ bevordert als toezichthouder een goede zorgverlening en patiëntveiligheid. Ook in die 
zin draagt de IGZ bij aan de zorgplichten van zorginstellingen en beroepsbeoefenaren. 

De Minister van VWS, die zorg zal dragen voor de inrichting, werking en bekostiging van het 
implantatenregister ondersteund daarmee de patiëntveiligheid. 

4.2 De noodzakelijke gegevens bij het gehele proces (vastleggen en traceerbaarheid) 

Om het doel van het implantatenregister te kunnen bereiken en om daarbij patiënten te 
kunnen traceren, informeren en, indien nodig, te behandelen, zijn in totaliteit voor het gehele 
proces de volgende gegevens en handelingen nodig: 

- gegevens over mogelijke problemen bij implantaten; 

- een unieke aanduiding van implantaten; 

- een unieke aanduiding van patiënten; 

- de mogelijkheid voor een zorginstelling om een bepaald implantaat te traceren tot 
aan een bepaalde patiënt; 

- de beschikbaarheid van gegevens om de patiënt te kunnen bereiken; 

- een zorginstelling die een bepaald implantaat kan traceren tot een bepaalde patiënt 
en die de beschikking heeft (of kan krijgen) over de benodigde 
bereikbaarheidsinformatie van die patiënt; 

- gegevens over een eerdere behandeling als een (nieuwe) behandeling aangewezen is. 
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Zoals uit de opzet en deze PIA blijkt, dienen de in totaliteit benodigde gegevens bepaald niet 
allemaal vastgelegd te worden in het implantatenregister. Daar waar mogelijk kunnen en 
dienen de gegevens aanwezig te zijn en te blijven bij de zorginstellingen en de 
beroepsbeoefenaren. Hetzelfde geldt voor de te verrichten activiteiten bij het traceren van 
patiënten. Ook daarbij is het uitgangspunt dat het traceren gedaan wordt door de 
zorginstellingen en de beroepsbeoefenaren. 


13 


NET LEGAL 

CÜNSULTANTS 


5 FASE 1: DE INRICHTING IN 2015 VAN HET LANDELIJK IMPLANTATENREGISTER OP BASIS VAN DE 
BESTAANDE MOGELIJKHEDEN 


DEEL II BEOORDELING 

5 Fase 1: de inrichting in 2015 van het landelijk implantatenregister op 
basis van de bestaande mogelijkheden 

5.1 Overzicht 

Een eerste fase is de inrichting van het implantatenregister in 2015 op basis van bestaande 
mogelijkheden. In de eerste fase worden gegevens opgenomen die geleverd worden door 
enkele wetenschappelijke verenigingen. De gegevens zijn daarbij afkomstig uit de landelijke 
registraties van die verenigingen. 

In dit onderdeel 5 worden voor de opzet, inhoud, werkzaamheden en verantwoordelijkheden 
van betrokken partijen en het gebruik van het landelijk implantatenregister criteria gegeven 
waar met de wetenschappelijke verenigingen te maken afspraken aan dienen te voldoen in het 
kader van deze PIA-beoordeling. 

De afspraken met de wetenschappelijke verenigingen zijn getoetst aan de verschillende 
onderwerpen in dit onderdeel 5. De afspraken kunnen in het kader van deze PIA als 
toereikende en adequate afspraken aangemerkt worden. De verwerking van gegevens in het 
implantatenregister (verzamelen, vastleggen en verstrekken) kan daarmee plaats vinden 
binnen de huidige wettelijke regelingen. 

5.2 Het doel van het implantatenregister 

Het doel van het implantatenregister dient duidelijk vastgelegd te zijn. Zo dient duidelijk te zijn 
dat de IGZ met het landelijk implantatenregister over een instrument beschikt, waarmee zij bij 
een signaal over een veiligheidsrisico bij een bepaald implantaat de impact op de Nederlandse 
markt kan overzien en betrokken patiënten door de betrokken zorginstelling kan laten 
traceren. De IGZ kan de daarvoor noodzakelijke door uit het implantatenregister ontvangen 
gegevens aan de desbetreffende zorginstelling te verstrekken. Tevens dient duidelijk te zijn dat 
de wetenschappelijke verenigingen (enkel) voor dit doel gegevens leveren. 

5.3 De op te nemen gegevensset 

In het implantatenregister zullen gegevenssets opgenomen met uitsluitend de volgende 
gegevens: 

- datum implantatie, datum explantatie (indien van toepassing); 

- naam of code van de zorginstelling die het implantaat heeft geïmplanteerd; 

- fabrikant van het implantaat, merknaam van het implantaat, product- of 
artikelnummer van - het implantaat (ook wel modelnummer, referentienummer of 
catalogusnummer), lotnummer van het implantaat, en 

- indien aanwezig: het serienummer van het implantaat. 
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Deze gegevensset dient (uitputtend) vastgelegd te zijn. 

5.4 Is er sprake van persoonsgegevens? 

Vaak wordt bedoeld of onbedoeld aangenomen dat vooral of enkel gegevens die een bepaalde 
persoon direct identificeren, persoonsgegevens zijn. De invulling van het begrip 
persoonsgegeven maakt echter dat vele gegevens al snel als persoonsgegevens moeten 
worden aangemerkt. Het is bij persoonsgegevens niet de vraag of een bepaald gegeven op zich 
een persoonsgegeven is, maar ook en meestal is het de vraag of een set van gegevens samen 
bezien persoonsgegevens opleveren . Kort gezegd is er vaak al sprake van persoonsgegevens 
volgens de privacywetgeving op een moment dat de persoon zelf nog niet bekend is, maar wel 
te achterhalen is wie de persoon zou zijn. 

Zo zal er in het algemeen bij de omschrijving van “de bezitter van de rode sportauto" niet snel 
sprake zijn van persoonsgegevens. Maar als deze omschrijving bijvoorbeeld in een bericht zou 
staan over een voorval in een klein dorpje waar uitgerekend alleen de enige bakker een rode 
sportauto heeft, dan zal iedereen uit het dorp wel weten wie bedoeld wordt. Ook bij 
bijvoorbeeld de omschrijving "de huidige staatssecretaris van VWS" zullen velen weten welke 
persoon op een bepaald moment bedoeld wordt. Ook bij die omschrijving gaat het volgens de 
privacy-definitie om persoonsgegevens. 

5.4.1 Definities in wet en regelgeving 

Een ruime definitie van het begrip persoonsgegeven wordt op internationaal terrein gegeven 
in zowel artikel 2, onder a, van het Databeschermingsverdrag van de Raad van Europa uit 
1981, als in artikel 2, onder a, van de EU Privacyrichtlijn 95/46/EG. 

Databeschermingsverdrag Raad van Europa 

Het databeschermingsverdrag spreekt in artikel 2, onder a over: 'personal data' means any 
information relating to an identified or identifiable individual ('data subject'). 

EU Algemene Privacyrichtlijn 95/46/EG 

De Europese Algemene Privacyrichtlijn spreekt in artikel 2, onder a over: "persoonsgegevens", 
iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, 
hierna "betrokkene" te noemen; als identificeerbaar wordt beschouwd een persoon die direct 
of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of 
van een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke, 
fysiologische, psychische, economische, culturele of sociale identiteit; 

Wet bescherming persoonsgegevens 

De Wet bescherming persoonsgegevens spreekt in artikel 1, onder a, bij persoonsgegevens 
over: 'elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon.' 
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5.4.2 De elementen 'Relating to / betreffende' en 'identified or identifiable / 
geïdentificeerde of identificeerbare' 

Bij persoonsgegevens gaat het volgens de genoemde definities om 'iedere informatie 
betreffende een geïdentificeerde of identificeerbare natuurlijke persoon' De twee elementen 
'iedere informatie betreffende' en 'geïdentificeerd of identificeerbare' staan hierbij centraal. 

'Betreffende' 

Bij de formulering 'iedere informatie betreffende' wordt bedoeld dat het om alle gegevens 
gaat die omtrent een bepaalde persoon informatie kunnen verschaffen. In veel gevallen, zoals 
bij gegevens over eigenschappen, opvattingen of gedragingen, zal dit duidelijk zijn. In andere 
gevallen zal onder omstandigheden de context waarin het gegeven wordt vastgelegd en 
gebruikt bepalend zijn. Van belang is dan of het gegeven bepalend kan zijn voor de wijze 
waarop de betrokken persoon in het maatschappelijk verkeer wordt beoordeeld of behandeld . 

Anders gezegd: het gaat over de wijze waarop de betrokkene aan het maatschappelijk leven 
deelneemt. Zo kunnen gegevens over een onderneming of over uitgaande telefoongesprekken 
persoonsgegeven zijn. Ook telefoonnummers en kentekens van auto's of soms zelfs 
perceelnummers kunnen persoonsgegeven zijn. 

'Geïdentificeerde of identificeerbare' 

Bij 'geïdentificeerde of identificeerbare' natuurlijke persoon speelt vooral de vraag of de 
identiteit van de persoon redelijkerwijs, zonder onevenredige inspanning, vastgesteld kan 
worden. Twee factoren zijn hierbij vooral van belang: 

1. de aard van de gegevens en, 

2. de mogelijkheden om de identificatie tot stand te brengen. 

De aard van de gegevens 

Een persoon is identificeerbaar indien sprake is van gegevens die alleen of in combinatie met 
andere gegevens, zo kenmerkend zijn voor een bepaalde persoon dat deze aan de hand 
daarvan kan worden geïdentificeerd. Niet ieder gegeven zal echter in dezelfde mate bijdragen 
tot de mogelijke identificering van een persoon. In dit kader kan een onderscheid worden 
gemaakt tussen direct en indirect identificerende gegevens. 

Van direct identificerende gegevens is sprake wanneer gegevens betrekking hebben op een 
persoon van wie de identiteit zonder veel omwegen eenduidig vast te stellen is. Voorbeelden 
zijn de gegevensset van naam, adres en geboortedatum, die in combinatie met elkaar dermate 
uniek zijn voor een bepaalde persoon dat deze kan worden geïdentificeerd. Er zijn ook 
gegevens die zodanig uniek zijn dat ze direct identificerend zijn, zoals het BSN. 

Bij indirect identificerende gegevens kunnen de gegevens (de set van gegevens) weliswaar niet 
rechtstreeks, maar wel via nadere stappen in verband gebracht worden met een bepaalde 
persoon. Zij kunnen, hoewel er geen direct identificerende gegevens zijn, door combinatie met 
andere gegevens weer worden teruggebracht tot een bepaalde persoon. Bij indirect 
identificerende gegevens kan een onderscheid worden gemaakt tussen gegevens met een 
hoog onderscheidend karakter, zoals een datum, leeftijd, woonplaats en beroep en gegevens 
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met een laag onderscheidend karakter, zoals leeftijdsklasse, woonregio en beroepsklasse. Het 
onderscheidend vermogen van dergelijke (combinaties van) gegevens is echter vooral 
afhankelijk van de context waarbinnen ze worden gebruikt. Ze zijn bijvoorbeeld afhankelijk van 
de omvang van de bevolkingsgroep waarop de gegevensverwerking betrekking heeft. 

Vanwege de identificeerbaarheid van indirect identificerende gegevens, is het verwijderen van 
enkel de direct identificerende kenmerken op zichzelf geen voldoende garantie dat er geen 
sprake meer is van persoonsgegevens. Door middel van spontane herkenning, vergelijking van 
gegevens en/of koppeling aan gegevens uit andere bron, kan soms zonder bijzonder veel 
inspanning, identificatie tot stand worden gebracht. 

De mogelijkheden om identificatie tot stand te brengen 

Naast de aard van de gegevens moeten de mogelijkheden om identificatie tot stand te 
brengen worden meegewogen bij de vraag of sprake is van persoonsgegevens. Bij de afweging 
is een absolute maatstaf niet aan de orde: gekeken moet worden naar alle middelen waarvan 
mag worden aangenomen dat zij redelijkerwijs door de verantwoordelijke dan wel enig ander 
persoon zijn in te zetten om die persoon te identificeren. 

5.4.3 Identificeerbaarheid en verschillende methoden om de identificeerbaarheid te 
verlagen 

De Memorie van Toelichting bij de Wet bescherming persoonsgegevens (TK 25 892, nr. 3) 
bevat een aantal specifieke opmerkingen ten aanzien van het anonimiseren van gegevens 
(lees: de gegevensset ontdoen van direct identificerende gegevens en soms ook het weglaten 
van enkele indirect identificerende gegevens, in combinatie met aanvullende maatregelen 
zoals een geheimhoudingsplicht). De passage op p. 49-50 luidt: 


Een gegeven is geen persoonsgegeven indien doeltreffende maatregelen zijn getroffen 
waardoor een daadwerkelijke identificatie van individuele natuurlijke personen 
redelijkerwijs wordt uitgesloten. Deze maatregelen kunnen bijvoorbeeld zijn 
gegevenscodering in combinatie met nadere bewerkingen of bijzondere 
besluitvormingsprocedures. Een verantwoordelijke kan bij voorbeeld gegevens ontdoen 
van de direct identificerende gegevens en deze onderbrengen bij een derde dan wel 
een derde de sleutel geven die toegang geeft tot deze gegevens. De vraag of in een 
dergelijk geval al dan niet gesproken kan worden van persoonsgegevens is afhankelijk 
van de mate waarin medewerking van de betrokken derde verwacht mag worden. 
Indien bijvoorbeeld degene die de code heeft opgesteld is onderworpen aan een 
geheimhoudingsplicht die naar uit de praktijk is gebleken daadwerkelijk wordt 
gehandhaafd, kan in de regel ervan worden uitgegaan dat er onvoldoende feitelijke 
mogelijkheden zijn tot daadwerkelijke identificatie. Is de code echter zonder veel 
moeite of met eenvoudige omzeiling van waarborgen te verkrijgen door de 
verantwoordelijke, dan is er sprake van identificeerbaarheid en dus van 
persoonsgegevens in de zin van het wetsvoorstel. De feitelijke situatie, niet de 
juridische constructie, is bepalend voor de toepasselijkheid van het wetsvoorstel. 
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5.4.4 Drie typen datasets 

Gebaseerd op de definitie van persoonsgegevens, kunnen in de praktijk drie categorieën van 
datasets onderscheiden worden. Bij een dataset gaat het om verschillende gegevens over 
dezelfde persoon. 

Categorie I datasets zijn de datasets waarin direct identificerende gegevens opgenomen zijn 
(bijv. het BSN of een combinatie van naam, geboortedatum en adres). De set zelf zijn (al) 
persoonsgegevens omdat de persoon in de dataset zelf ook geïdentificeerd is. 

Categorie II datasets zijn de datasets waarin geen direct identificerende gegevens zijn 
opgenomen of waaruit de direct identificerende gegevens verwijderd zijn. Soms zijn de direct 
identificerende gegevens vervangen door een "pseudo-identiteit". Door de combinatie van 
gegevens in de dataset is het echter nog wel mogelijk om de identiteit, bijvoorbeeld door de 
combinatie met andere gegevens of het "kraken" van de pseudo-identiteit, te achterhalen. Er 
is nog steeds sprake van persoonsgegevens, waarbij de persoon identificeerbaar is. Daarbij 
wordt dan gesproken over een dataset met indirect identificerende gegevens. De mate waarin 
de indirect identificerende gegevens de persoon identificeerbaar maken, kan daarbij sterk 
verschillen. Dit hangt geheel af van de gedetailleerdheid van de gegevens en ook over welke 
bestanden een organisatie beschikt om te gebruiken bij het alsnog identificeren van gegevens. 

Categorie III datasets zijn de datasets die niet meer tot een persoon te herleiden zijn, ook niet 
met gebruik van andere bestanden of door bijvoorbeeld het "kraken" van de pseudo-identiteit 
Dit betekent bijvoorbeeld dat bij dergelijke bestanden er twee keer en onafhankelijk van 
elkaar pseudo-identiteiten gemaakt worden en dat de gegevens die overblijven niet meer zo 
gedetailleerd mogen zijn dat identificeren toch nog mogelijk is. Bij deze sets is er geen sprake 
meer zijn van indirect identificerende gegevens en geen sprake van persoonsgegevens. Zoals 
uit het hierboven weergegeven citaat uit de Memorie van Toelichting bij de Wet bescherming 
persoonsgegeven volgt, kan ook indien er sprake is van een geheimhoudingsplicht die naar uit 
de praktijk is gebleken daadwerkelijk wordt gehandhaafd, er in bepaalde gevallen vanuit 
worden gegaan dat er onvoldoende feitelijke mogelijkheden zijn tot daadwerkelijke 
identificatie. 

De drie categorieën van datasets zijn hieronder weergegeven. Bij de categorie II datasets met 
indirect identificerende gegevens is een verdeling gemaakt in 'hoge' identificeerbaarheid, 
'midden' identificeerbaarheid en 'lage' identificeerbaarheid. In welke mate er sprake is van 
identificeerbaarheid hangt bij categorie II datasets altijd af van de omstandigheden (inhoud 
dataset en wie beschikt of kan beschikken over de dataset). 
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Persoonsgegevens volgens definitie 


Categorie I Categorie II 

Direct identificerend Indirect identificerend 


Categorie III 
Geen persoonsgegevens 



5.4.5 Persoonsgegevens en de gegevens in het implantatenregister 

In dit onderdeel komt aan de orde of de in het implantatenregister vastgelegde gegevens 
aangemerkt dienen te worden als persoonsgegevens in de zin van de Wet bescherming 
persoonsgegevens. Daarbij spelen de volgende observatie een rol: 

Bij de mogelijkheden om gegevens tot individuele personen en patiënten te herleiden, dient in 
ogenschouw genomen te worden dat indien de identiteit van de patiënt niet of slechts met 
een disproportionele aanwending van geld, menskracht of middelen kan worden achterhaald, 
er geen sprake is van persoonsgegevens in de zin van de Wbp. 

De gegevenssets die in het implantatenregister opgenomen worden bevatten geen direct 
identificerende gegevens over de patiënt. Ook worden bijvoorbeeld geen versleutelde of 
gepseudonimiseerde gegevens over de identiteit van de patiënt opgenomen. Het is niet 
mogelijk om aan de hand van de gegevenssets zelf, de patiënt te identificeren. 

Bij zowel de minister van VWS, het CIBG of MRDM zijn geen andere bestanden aanwezig 
waarmee deze partijen zelf de identiteit van patiënten zonder onevenredige inspanningen 
zouden kunnen herleiden. 

Herleidbaarheid van de identiteit van patiënten zou (in theorie) mogelijk kunnen zijn met 
behulp van gegevens uit de registraties van de wetenschappelijke verenigingen. In die 
registraties zijn (in bepaalde gevallen) versleutelde patiëntgegevens opgenomen. De 
wetenschappelijke vereniging zelf, zou echter enkel deze versleutelde gegevens kunnen 
verstrekken. Dit zou daarbij overigens in strijd zijn met de van het medisch beroepsgeheim 
afgeleide geheimhouding waaraan de wetenschappelijke verenigingen gebonden zijn. 
Daarnaast is ook de TTP (Thrusted Third Party) die de versleutelde patiëntgegevens zou 
kunnen ontsleutelen gebonden aan geheimhouding die er aan in de weg staat om ten behoeve 
van het implantatenregister te ontsleutelen. 
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Herleidbaarheid van de identiteit van patiënten is (in theorie) mogelijk met behulp van 
gegevens uit de specifieke behandeldossiers van de beroepsbeoefenaren of eventuele 
registraties van zorginstellingen. Daarbij staat echter het medisch beroepsgeheim in de weg. 

De dossierhouders en de zorginstellingen zijn op grond van het medisch beroepsgeheim niet 
gerechtigd om mee te werken aan het identificeren van patiënten binnen het 
implantatenregister. 

Bovenstaande observaties rechtvaardigen de conclusie dat het implantatenregister in de 
eerste fase en bezien vanuit het oogpunt van de minister van VWS, de bij het beheer 
betrokken partijen en de IGZ als ontvanger van gegevens, geen persoonsgegevens bevat als 
bedoeld in de Wet bescherming persoonsgegevens. Deze conclusie heeft tot gevolg dat 
(aanvullende) wetgeving niet vereist is om de eerste fase van de inrichting en werking van het 
implantatenregister uit te voeren. In die zin kan, mede in verband met het medisch 
beroepsgeheim (een geheimhoudingsplicht die naar uit de praktijk is gebleken daadwerkelijk 
wordt gehandhaafd), aangenomen worden dat het landelijk register Categorie III datasets 
bevat en daarbij geen persoonsgegevens bevat als bedoeld in de Wbp. 

Uiteraard zijn de gegevens zodra deze bij (mogelijke) problemen door de zorginstellingen 
ontvangen worden om de patiënten te traceren, voor die zorginstelling wel persoonsgegevens. 
De gegevens worden ook juist door hen ontvangen en gebruikt om de patiënten te traceren. 
Dit doet echter, gelet op het medisch beroepsgeheim, niet af aan de hierboven weergegeven 
observaties t.a.v. de minister van VWS, de bij het beheer betrokken partijen en de IGZ. 

5.4.6 Relativering van het belang van de vaag: persoonsgegevens of niet? 

De - op zich - belangrijke vraag of er wel of niet sprake is van persoonsgegevens, verdient in 
het kader van het implantatenregister en tegen de achtergrond van de bescherming van de 
persoonlijke levenssfeer en het medisch beroepsgeheimen ten minste enige relativering. 

Het feit dat er strikt juridisch genomen geen sprake is van persoonsgegevens betekent 
geenszins dat de gegevens niet adequaat beschermd dienen te worden. Mede door het belang 
van de bescherming persoonlijke levenssfeer en de bescherming medisch beroepsgeheim, 
dienen de gegevens in de praktijk behandeld te worden alsof het persoonsgegevens zouden 
zijn. Een behoorlijke en zorgvuldige verwerking van de gegevens met adequate 
informatiebeveiliging en een duidelijk regeling over de doelen waarvoor de gegevens verwerkt 
worden, de vast te leggen gegevens, de ontvangers en het gebruik van de gegevens en hoe het 
implantatenregister beheerd wordt is bij het implantatenregister essentieel. 

5.5 De leveranciers en de levering van gegevens 

De wetenschappelijk verenigingen zullen de in het implantatenregister op te nemen gegevens 
leveren. Daarbij is, naast de beperking tot de gegevens zoals opgesomd bij de gegevenssets, 
van belang dat de wetenschappelijke verenigingen er zorg voor dragen dat de aangeleverde 
gegevenssets juist, betrouwbaar en volledig zijn. Tevens is van belang dat de 
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wetenschappelijke verenigingen de zorginstellingen of, indien aangewezen, anderen die 
eerder gegevens ter beschikking gesteld hebben aan de wetenschappelijke verenigingen, 
informeren en toestemming vragen voor het aanleveren van gegevens aan het 
implantatenregister. Daarmee kan er zorg voor gedragen worden dat de levering van gegevens 
voldoet daarbij aan de geldende wet- en regelgeving, zoals de Wet bescherming 
persoonsgegevens. 

Afspraken over de juistheid van de aan te leveren gegevens te maken en een handelwijze 
waarbij de wetenschappelijke verenigingen de zorginstellingen of, indien aangewezen, 
anderen die eerder gegevens ter beschikking gesteld hebben aan de wetenschappelijke 
verenigingen, informeren en toestemming vragen voor het aanleveren van gegevens aan het 
implantatenregister, zijn ook belangrijk vanuit het oogpunt van de minister van VWS. Met 
dergelijke afspraken zorgt de minister er, als ontvanger van de gegevens, voor dat de 
zorgplichten van de verstrekkende wetenschappelijke verenigingen duidelijk zijn. 

Het is daarbij voldoende dat er dergelijke afspraken zijn. Privacywetgeving zoals de Wbp 
vereist immers niet dat een ontvanger geheel en volledig inhoudelijk dient te toetsen of een 
verstrekker de gegevens inderdaad mag verstrekken: een dergelijke beoordeling vindt plaats 
door de verstrekker zelf. Dit zou anders kunnen zijn in bijvoorbeeld de situatie waarbij de 
ontvanger weet of dient te weten dat de verstrekker geen of onvoldoende aandacht aan 
privacywetgeving zal geven. Het is duidelijk dat een situatie met een 'te lakse' verstrekker bij 
de wetenschappelijke verenigen bepaald niet zal spelen. 

Bij de feitelijke levering van gegevens en de vulling van het implantatenregister is voorzien dat 
periodiek een levering plaats zal vinden waarbij de volledige inhoud van het register 
geactualiseerd wordt. Alle in het implantatenregister opgenomen gegevens worden daarbij 
vervangen door de actuele gegevens. Tevens is voorzien dat bij gebruik van het 
implantatenregister ingeval van mogelijke problemen met implantaten, het register ook direct 
voorafgaande aan het gebruik, zo mogelijk, nogmaals geactualiseerd wordt. Gelet op deze 
werkwijze zou het voor de eerste fase een nader te onderzoeken optie kunnen zijn om de 
verschillende leveringen van gegevens veeleer als een test te beschouwen of de levering van 
gegevens op juiste wijze plaatsvindt c.q. plaats kan vinden. Indien dit zo is, zouden de 
gegevens (weer) verwijderd kunnen worden. Als vervolgens gegevens nodig zijn bij eventuele 
problemen met implantaten, zou daarvoor een (actuele) vulling plaats kunnen vinden. Bij een 
dergelijke strategie zou het implantatenregister in de eerste fase meer als een 'virtueel' 
register aangeduid kunnen worden en zijn er mogelijk minder gevolgen bij eventuele 
datalekken of op eventuele herleidbaarheid van gegevens tot personen. In die zin wordt in 
overweging gegeven om, voor zover dit nog niet gedaan zou zijn of bij (toekomstige) 
ontwikkelingen, (opnieuw) aandacht te besteden aan een dergelijke strategie met een meer 
'virtueel' register in de eerste fase. 

5.6 Het beheer en de werking van het implantatenregister 

De minister van VWS zal zorg dragen voor het tot stand brengen van het landelijk 
implantatenregister. Hierbij passen ook werkafspraken over de feitelijke werkzaamheden die 
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uitgevoerd zullen worden door het CIBG van het ministerie als functioneel beheerder en door 
Medical Research Data Management B.V. als technisch beheerder van het landelijke 
implantatenregister. 

Hoewel de dossierplicht en de geheimhoudingsverplichtingen van de WGBO niet op de 
gegevens in het implantatenregister en de gegevens in de registraties van de 
wetenschappelijke verenigingen van toepassing zijn (het zijn immers geen behandeldossiers), 
heeft de geheimhoudingsplicht van de WGBO (en ook die van de Wet BIG) wel en doorwerking 
naar de registraties van de wetenschappelijke verenigingen en het implantatenregister. In die 
zin rust er op de gegevens een (afgeleide) geheimhoudingsplicht. 

Deze geheimhoudingsplicht dient, tezamen met de vereiste informatiebeveiliging, duidelijk 
geregeld het CIBG en Medical Research Data Management B.V. als beheerspartijen. 

5.7 Het gebruik van het implantatenregister en het verstrekken van gegevens 

Het gebruik van gegevens in het implantatenregister en het verstrekken van gegevens dient 
duidelijk en uitputtend geregeld te zijn. In de opzet van het implantatenregister worden 
uitsluitend gegevens verstrekt aan de IGZ als dit bij (mogelijke) problemen met implantaten 
noodzakelijk is en als het aangewezen is dat patiënten getraceerd worden. Het is in die 
gevallen de IGZ die de gegevens uit het implantatenregister verstrekt aan de desbetreffende 
zorginstelling die op hun beurt zorg dragen voor het traceren van patiënten. 

Het is voorstelbaar dat de feitelijke toegang tot het implantatenregister om de voor de IGZ 
benodigde gegevens uit het implantatenregister te verzamelen, voorbehouden blijft aan het 
CIBG als een soort van 'tussenpersoon' tussen de IGZ en het implantatenregister. 

Bij gebruik van het implantatenregister en het verzamelen van de benodigde gegevens in een 
bepaald geval, is tevens van belang welke zoekmogelijkheden (zoekvelden) het 
implantatenregister heeft. Mede gelet op de bescherming van de persoonlijke levenssfeer en 
het medisch beroepsgeheim, dient volstaan te worden met de daadwerkelijk noodzakelijke 
zoekmogelijkheden (zoekvelden). 

Gelet op de doeleinden van het implantatenregister, wordt er in deze PIA vanuit gegaan dat 
zoekmogelijkheden beperkt blijven tot de fabrikant van het implantaat, merknaam van het 
implantaat, product- of artikelnummer van het implantaat (ook wel modelnummer, 
referentienummer of catalogusnummer) en eventueel serie/lotnummer. 

Gelet op het doel van het implantatenregister is het niet nodig om een zoekmogelijkheid te 
hebben op de naam of code van de zorginstelling die het implantaat heeft geïmplanteerd. 

Ook een zoekmogelijkheid op bijvoorbeeld de datum van implantatie of de datum van 
explantatie, lijkt niet noodzakelijk voor de doelen van het implantatenregister. 

5.8 De rol en positie van patiënten ten aanzien van het implantatenregister 

Bij de eerste fase van het implantatenregister is de rol van de patiënten zelf zeer beperkt. Dit is 
overigens niet ongebruikelijk bij gegevensverwerking voor kwaliteit zoals de registraties van de 
wetenschappelijke verenigingen doen en bij registers ten behoeve van patiëntveiligheid zoals 
het implantatenregister. In formele zin speelt ook een rol dat de gegevens in het 
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implantatenregister vanuit de minister van VWS, de betrokken beherende partijen en de IGZ 
bezien, geen persoonsgegevens zijn. In die zin is de Wbp niet van toepassing op het 
implantatenregister zelf. 

Het verdient echter aanbeveling om patiënten, zo mogelijk in overleg met de 
wetenschappelijke verenigingen, te informeren over het bestaan van het implantatenregister. 
Daarbij kan gedacht worden aan en ook volstaan worden met algemene publieksinformatie. 
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6 Fase 2: een wettelijke regeling voor het landelijk implantatenregister 

6.1 Overzicht 

De huidige opzet waarbij het landelijk implantatenregister wordt ingericht en gevuld wordt 
met gegevens uit registraties van wetenschappelijke verenigingen, is een tijdelijke inrichting en 
in hoofdzaak gebaseerd op de thans bestaande feitelijke situatie en mogelijkheden. 

Een tweede fase is, zoals aangegeven, het creëren van wetgeving voor het 
implantatenregister. Voorzien is dat daarbij onder andere wettelijke registratieplichten voor de 
zorgaanbieders en een plicht tot verstrekken van gegevens ten behoeve van opname in het 
implantatenregister ontstaan. Tevens is voorzien om de informatieverstrekking aan patiënten 
wette lijk te regelen. 

Bij de wettelijke regeling is voorzienbaar dat er rechtstreekse levering van de op te nemen 
gegevens komt door ziekenhuizen, instellingen en beroepsbeoefenaren (levering van gegevens 
door de bron). Daarmee kan tevens opname van gegevens over implantaten bewerkstelligd 
worden die niet door een wetenschappelijke vereniging vastgelegd worden. 

Bij levering van gegevens rechtstreeks aan het implantatenregister zullen de afspraken met de 
wetenschappelijke verenigingen geen normerende werking (meer) hebben. Mede om die 
reden ligt het voor de hand om in de komende wetgeving ook het implantatenregister 
wettelijk te regelen. Het gaat dan, evenals in onderdeel 5 is aangegeven, om de opzet, inhoud, 
werkzaamheden en verantwoordelijkheden van betrokken partijen en het gebruik van het 
landelijk implantatenregister. De afspraken van de eerste fase kunnen daarbij als het ware 
'hergebruikt' worden. 

6.2 Registratie door zorgverleners 

Voorzien is dat de komende regelgeving een verplichting voor de zorgverleners zal bevatten 
dat zij aantekening in het (WGBO) dossier houden van een bij een cliënt ingebracht implantaat 
op een wijze dat het ingebrachte implantaat kan worden herleid tot die cliënt. 

6.3 Verstrekking van gegevens door zorgaanbieders en zorgverleners 

Voorzien is dat de komende regelgeving een verplichting voor zorgaanbieders en zorgverleners 
zal bevatten om zorg te dragen voor de verstrekking van de aangewezen gegevens over een bij 
een cliënt ingebracht implantaat voor opname in het implantatenregister. 

Een dergelijke verplichting hoeft overigens niet te verhinderen dat in voorkomende gevallen 
de gegevens via c.q. middels de registraties van wetenschappelijke verenigingen bij het 
implantatenregister aangeleverd worden. 
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6.4 Informatie voor patiënten 

Voorzien is dat de zorgaanbieder en de zorgverlener zorg dragen voor de verstrekking aan een 
patiënt van de geregistreerde gegevens over een bij die cliënt ingebracht implantaat. 

6.5 De regeling van het implantatenregister 

Zoals in onderdeel 5.4.6 al is aangegeven, betekent het feit dat er strikt juridisch genomen 
geen sprake is van persoonsgegevens geenszins dat de gegevens niet adequaat beschermd 
dienen te worden. Mede door het belang van de bescherming persoonlijke levenssfeer en de 
bescherming medisch beroepsgeheim, dienen de gegevens in de praktijk in ieder geval 
behandeld te worden alsof het persoonsgegevens zouden zijn. 

De beschrijving en conclusie in onderdeel 5.4 laten zien, dat de in de eerste fase in het 
implantatenregister opgenomen gegevens, om het zo maar te zegen, "toch net" geen 
persoonsgegevens zijn. Het is niet onvoorstelbaar dat met een verdere uniformering en 
eventueel verdere detaillering van de aanduidingen voor implantaten en een directe levering 
door zorginstellingen of beroepsbeoefenaren, de grens tussen wel of geen persoonsgegevens 
onduidelijker wordt. Tevens kan de hieronder in onderdeel 7.3 opgenomen aanbeveling 
daarbij een rol spelen. Op grond van deze overwegingen, is voorstelbaar dat bij de nadere 
regelgeving gekozen wordt voor de optie om de in het implantatenregister op te nemen 
gegevens (toch) als persoonsgegevens aan te merken. Ook is voorstelbaar dat het gevoelen 
van het College bescherming persoonsgegevens daarbij een rol (kan) spelen. 

6.5.1 Het bestaan en doel van het implantatenregister 

Het bestaan van het implantatenregister zal in de wettelijke regeling een plaats krijgen. Voor 
wat het doel van het implantatenregister betreft dient ook bij een wettelijke regeling duidelijk 
te zijn dat de IGZ daarmee over een instrument beschikt waardoor zij bij een signaal over een 
veiligheidsrisico bij een bepaald implantaat de impact op de Nederlandse markt kan overzien 
en betrokken patiënten door de betrokken zorginstelling kan laten traceren. De IGZ kan de 
daarvoor noodzakelijke door IGZ uit het implantatenregister ontvangen gegevens aan de 
desbetreffende zorginstelling te verstrekken. 

Voor een regeling van het bestaan en het doel van het implantatenregister kan aansluiting 
gezocht worden bij de regeling in art. 7.1.2.1 van de Jeugdwet over de verwijsindex 
risicojongeren. 

6.5.2 De op te nemen gegevensset 

Het verdient voorkeur om de in het implantatenregister op te nemen gegevens wettelijk te 
regelen. Een nadere regeling bij AMvB van de exacte dataset is daarbij voorstelbaar. Het nader 
regelen in een ministeriële regeling van de gegevensset lijkt gelet op de gevoeligheid van de 
gegevens en de bescherming van het medisch beroepsgeheim geen aan te raden keuze. 


25 


MET LEGAL 

CONSULTANTS 


6 FASE 2: EEN WETTELIJKE REGELING VOOR HET LANDELIJK IMPLANTATENREGISTER 


6.5.3 Het beheer en de werking van het implantatenregister 

Het ligt voor de hand om de minister van VWS aan te wijzen die zorgdraagt voor de inrichting 
en de werking van het implantatenregister. Indien de optie gekozen wordt om de gegevens 
(toch) als persoonsgegevens aan te merken, zal de minister aangemerkt worden als de Wbp- 
verantwoordelijke. Artikel 7.1.2.2, lid 1 en 2, van de Jeugdwet kan daarbij als voorbeeld 
gebruikt worden. Zie daarbij als voorbeeld ook artikel 2 van de Regeling justitiële 
keteninformatisering Jeugdwet. 

Ook in de toekomst is het aan te bevelen wettelijk te regelen dat de leveranciers van gegevens 
verantwoordelijke zijn voor de juistheid, volledigheid en actualiteit van de op te nemen 
gegevens. 

6.5.4 Het gebruik van het implantatenregister en het verstrekken van gegevens 

Het verdient aanbeveling om wettelijk te regelen dat enkel gegevens aan de IGZ verstrekt 
mogen worden. 

6.5.5 Geheimhouding en informatiebeveiliging bij het implantatenregister 

Het verdient aanbeveling om de in het landelijk register opgenomen gegevens te beschermen 
met een geheimhoudingsverplichting die gelijk is aan het medisch beroepsgeheim. Dit vooral 
indien gekozen zou worden voor een optie om de gegevens (toch) als persoonsgegevens aan 
te merken. Ook is voorstelbaar dat nadere voorschriften over informatiebeveiliging gegeven 
worden. Dit eventueel overeenkomstig artikel 2 van de Regeling gebruik burgerservicenummer 
in de zorg. 

6.5.6 De rol en positie van patiënten ten aanzien van het implantatenregister 

Ook in de tweede fase verdient het voorkeur dat patiënten geïnformeerd worden over het 
bestaan van het implantatenregister en de gegevens die daarin opgenomen worden. Daarbij is 
voorstelbaar dat zorgaanbieders en de zorgverleners patiënten, bij het informeren zoals 
aangegeven is in onderdeel 6.4, tevens informeren over het implantatenregister en aangeven 
welke gegevens opgenomen zullen worden in het implantatenregister. 

Indien gekozen zou worden voor een optie om de gegevens (toch) als persoonsgegevens aan 
te merken, is het verplicht deze informatie aan patiënten te verstrekken. 

Indien gekozen zou worden voor een optie om de gegevens (toch) als persoonsgegevens aan 
te merken, is het tevens een optie om ten aanzien van de rechten van patiënten een regeling 
te treffen op de voet van de regeling in artikel 7.1.2.2, lid 3, van de Jeugdwet en daarbij de 
zorginstellingen als de verantwoordelijke aan te merken. 
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7 Enkele specifieke issues bij de traceerbaarheid van patiënten 

7.1 Schets van de problematiek bij de traceerbaarheid van patiënten 

Een specifiek onderwerp is de traceerbaarheid van de patiënt en de inhoud van de 
gegevensset in het implantatenregister in verband met bijvoorbeeld het ophouden van het 
bestaan van een zorgaanbieder of bij bijvoorbeeld verhuizing van een patiënt naar het 
buitenland. 

De huidige inrichting in 2015 en de latere overgang naar een implantatenregister met een 
wettelijke regeling, zijn erop gebaseerd dat de zorgaanbieders zelf de betrokken patiënten 
traceren en benaderen. De voorziene dataset die in het implantatenregister vastgelegd is 
daarbij zodanig dat het met die dataset niet mogelijk is om de individuele patiënt te 
identificeren. Een dergelijke opzet kan bij de latere traceerbaarheid van individuele patiënten 
tot de volgende problemen aanleiding geven: 

- er is geen zorgaanbieder meer die op basis van de gegevens uit het 
implantatenregister de patiënt kan traceren. Dit kan bijvoorbeeld het geval zijn als een 
zorgaanbieder niet meer bestaat en de eerdere registratie van implantaten ook niet 
meer bestaat of traceerbaar is. 

- er is weliswaar een zorgaanbieder die de patiënt zou dienen te traceren, maar het 
blijkt voor die zorgaanbieder niet mogelijk te zijn om de patiënt inderdaad te traceren 
ofte bereiken. Hierbij kan er (in theorie) sprake zijn van drie situaties: 

- de zorgaanbieder blijkt niet in staat te zijn om vast te stellen welke patiënt 
een implantaat heeft ontvangen (omissie in de registratie) 

- de zorgaanbieder blijkt niet in staat te zijn om bereikbaarheidsgegevens van 
de patiënt te achterhalen (omissie in de registratie) 

- het blijkt niet mogelijk te zijn om de patiënt met de (nog) aanwezige 
gegevens te bereiken (verhuizing patiënt). 

De hierboven aangegeven situaties leiden tot de volgende vragen: 

1) Dient de dataset van het implantatenregister uitgebreid te worden met gegevens die 
de identificeerbaarheid van de patiënt mogelijk maken? 

2) Dient de dataset van het implantatenregister uitgebreid te worden met gegevens die 
de bereikbaarheid van de patiënt mogelijk te maken? 

3) Dient er aanvullende wetgeving te komen die het verkrijgen van informatie over de 
bereikbaarheid van de patiënt mogelijk maakt? 

7.2 Traceerbaarheid van patiënten in fase 1 

In de eerste fase lijkt het mogelijk te zijn dat wetenschappelijke verenigingen in bepaalde 
urgente gevallen gebruik maken van de gegevens die in hun registraties opgeslagen zijn om de 
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identiteit van bepaalde patiënten alsnog te kunnen achterhalen en daarbij rechtstreeks 
aanvullende gegevens verstrekken aan een zorginstelling of beroepsbeoefenaar. 

Hierbij kan een werkwijze gehanteerd worden dat de zorginstellingen een lijst met gegevens 
aan de IGZ of de wetenschappelijke verenigingen leveren van patiënten die (toch) niet 
identificeerbaar zijn. De wetenschappelijke verenigingen kunnen dan rechtsreeks aanvullende 
gegevens verstrekken. Ook is het mogelijk dat beroepsbeoefenaren de reeds bestaande 
toegangsmogelijkheid die ze in verband met de vulling van de wetenschappelijke registraties 
reeds hebben, in dergelijke gevallen ook gebruiken om patiënten alsnog te kunnen 
identificeren bij mogelijke problemen met implantaten. 

Het is zeer wel voorstelbaar dat de dan bestaande situatie een rechtvaardiging oplevert om de 
versleutelde gegevens over patiënten (toch) te ontsleutelen in verband met de individuele 
patiëntveiligheid. Het kan immers gaan om ernstige problemen met bepaalde implantaten die 
noodzaken tot behandeling van de patiënt. Dit dan in gevallen dat een zorginstelling niet meer 
bestaat of blijkt dat een zorginstelling zelf een patiënt (onverhoopt) toch niet kan identificeren. 

Het verdient aanbeveling om te bezien of en in welke mate de wetenschappelijke verenigingen 
in het geval een zorginstelling niet meer bestaat of het voor een zorginstelling niet mogelijk 
blijkt om een patiënt te traceren, uit hun registraties rechtstreeks (zonder tussenkomst van 
bijv. de IGZ) aanvullende gegevens aan een zorginstelling of beroepsbeoefenaar zouden 
kunnen verstrekken ten behoeve van het (alsnog) kunnen identificeren van patiënten, dan wel 
dat beroepsbeoefenaren hun ter vulling van de registraties reeds bestaande 
toegangsmogelijkheid, in dergelijke gevallen ook gebruiken om zelf aanvullende gegevens ter 
identificatie van patiënten te verkrijgen uit de wetenschappelijke registraties. In dergelijke 
individuele en dringende situaties kan het aanvaardbaar zijn om de gegevens van de 
wetenschappelijke verenigingen te gebruiken en deze ten behoeve daarvan te ontsleutelen. 
Het kan, zoals gezegd, immers gaan om ernstige problemen met bepaalde implantaten die 
noodzaken tot behandeling van de patiënt. 

Ingeval een zorginstelling niet meer bestaat, is het wellicht mogelijk dat de wetenschappelijke 
verenigingen, dan wel de (mogelijk) door een door hen op te richten Raad, een vervangende 
zorginstelling vaststellen die vervolgens zorg draagt voor het traceren, informeren en, zo 
nodig, behandelen van patiënten. Dit 'aanwijzen' van een 'vervangende zorginstelling' zou 
daarbij bij voorbeeld plaats kunnen vinden in overleg met de Nederlandse Federatie van 
Universitair Medische Centra (NFU), de Nederlandse Vereniging van Ziekenhuizen (NVZ) en de 
Zelfstandige Particuliere Klinieken Nederland (ZKN). 

Indien het in bepaalde gevallen voor een zorginstelling niet of niet meer mogelijk is om aan de 
hand van de eigen registraties voldoende actuele bereikbaarheidsgegevens van de patiënt te 
achterhalen, is voorstelbaar dat met gebruik van andere gegevensverzamelingen het wel 
mogelijk zal zijn om bereikbaarheidsgegevens te achterhalen. Hierbij kan bijvoorbeeld gedacht 
worden aan de huisartsenregistratie waarin ook patiënten opgenomen zijn, aan de 
verzekerdenadministratie die namens zorgverzekeraars door VECOZO gevoerd wordt of 
eventueel zelfs het LSP. Daarnaast is voorstelbaar dat zorginstellingen ter vaststelling van de 
identiteit op basis van de Wet gebruik BSN in de zorg, het BSN-nummerregister raadplegen. 
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Hoewel op voorhand geen definitief oordeel gegeven kan worden, kan aangenomen worden 
dat het gebruik van dergelijke andere gegevensverzamelingen in een concreet en urgent geval 
toelaatbaar zal zijn. In die zin lijkt er thans geen (directe) aanleiding te zijn voor nadere 
voorzieningen of regelgeving om bereikbaarheidsinformatie van patiënten te kunnen 
verzamelen. 

7.3 Traceerbaarheid van patiënten in fase 2 

In de tweede fase kan er ook sprake zijn van rechtstreekse levering van gegevens aan het 
implantatenregister door zorginstellingen of behandelaars. Daarbij zullen er dan geen 
registraties van wetenschappelijke verenigingen zijn die eventueel aangewend zouden kunnen 
worden ingeval bijvoorbeeld een zorginstelling niet meer bestaat of een zorginstelling de 
patiënt toch niet kan traceren. 

Voor wat de tweede fase betreft, verdient het aanbeveling nader onderzoek te doen of het 
noodzakelijk is (in bepaalde gevallen) eventueel aanvullende gegevens vast te leggen. Dit zou 
ertoe kunnen leiden dat (alsnog) extra gegevens over patiënten, in al dan niet versleutelde 
vorm, vastgelegd worden in het implantatenregister. Zo nodig kan daarbij de inschakeling van 
een TTP plaatsvinden. In dat geval zou voor dergelijke gegevens extra een specifieke wettelijke 
bepaling vereist zijn. 

Voor het in voorkomende gevallen door zorginstellingen gebruiken van gegevens uit andere 
gegevensverzamelingen als het een zorginstelling niet of niet meer mogelijk is om voldoende 
actuele bereikbaarheidsgegevens van de patiënt te achterhalen, wordt verwezen naar de 
opmerkingen in onderdeel 7.2. 
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